採用フォームが攻撃面になる日──警察庁の日米豪独合同公表が示した「身元の真正性」という未検証の境界

日米豪独7機関による合同公表

2026年9月18日、警察庁は国家サイバー統括室（NCO）、米連邦捜査局（FBI）、米国防総省サイバー犯罪センター（DC3）、豪通信情報局／豪サイバーセキュリティセンター（ASD／ACSC）、独連邦情報庁（BND）、独連邦憲法擁護庁（BfV）と合同で、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum」（関連名称：Contagious Interview）に関する注意喚起を公表した。外務省はこれをパブリック・アトリビューションとして位置づけている。警察庁とFBIは、WaterPlumの攻撃活動と一部の北朝鮮IT労働者による外貨獲得活動の双方について、朝鮮労働党中央委員会軍需工業部313総局が中心的な役割を果たしていると評価した。被害規模は大きい。2025年12月頃から2026年7月にかけ、日本を含む100以上の国・地域で3万台以上の端末がマルウェアに感染し、7,000件を超える暗号資産ウォレット情報が窃取された。同グループが管理するウォレットには、少なくとも約17億円相当（約1,071万ドル、1ドル159円換算）の暗号資産が送金されていたことが確認されている。

手口の中心は「求人」である

注目すべきは、攻撃の入口が一貫して採用活動だという点だ。WaterPlumはAI企業、暗号資産企業、NFT企業、人材紹介サービスになりすまし、ソーシャルメディアやオンライン求人サイト、ギグワークプラットフォームを通じてソフトウェア開発者に魅力的な求人を持ちかける。そして技術面接やコーディング課題という名目で、不正なプログラムを含むリポジトリを開かせる。悪意あるNPMパッケージやVS Codeプロジェクトを経由して端末を侵害し、ブラウザに保存された認証情報、キー入力記録、暗号資産ウォレットの秘密鍵やシードフレーズ、さらには運転免許証やパスポートの画像までを窃取する。窃取された身分証画像は、別の北朝鮮IT労働者が他人になりすまして就職するために再利用されうる。侵害された個人の端末は、その人物の勤務先ネットワークへの侵入起点にもなる。

国内初のラップトップ・ファーム摘発とbitFlyer事例

今回の公表には、日本固有の実態が二つ含まれた。第一に、国内の支援者（ドメスティック・イネーブラー）の居宅に設置され北朝鮮IT労働者が遠隔操作していた「ラップトップ・ファーム」を、警察が国内で初めて把握し解体したことである。北朝鮮IT労働者は支援者から提供された身分証画像を悪用して業務を受注し、支援者名義の銀行口座を報酬の振込先に指定するなどして、数億円相当を海外へ送金していた。第二に、2025年5月にbitFlyerのエンジニア職へ応募があった事例が実名で示された。応募者は別人になりすました履歴書を添付し、仲介事業者を介さず直接応募していた。複数のVPNサービス経由でアクセスし、連絡先はフリーメール。職務経歴書には欧州の大学卒業歴と各国都市での職歴、10種類以上に及ぶ技術領域の知見が並んでいた。オンライン面接では出身と居住地の説明が具体性を欠き、記載スキルへの質問には抽象的な回答に終始し、日本への転居を拒否し、暗号資産での給与支払いに固執した。面接中は別モニターを繰り返し確認し、背後から他人の声が聞こえることもあったという。同社は不審点に気づいて対応し、採用にも被害にも至っていない。

二つの活動を結んだのはIPアドレスだった

そして最も重要な事実がこれだ。WaterPlumの攻撃者が使用したIPアドレス、北朝鮮IT労働者がラップトップ・ファームやクラウドソーシングへ接続した際のIPアドレス、そしてbitFlyerへ応募した人物のIPアドレスが一致した。これは、サイバー攻撃と労務偽装という一見別種の活動が、同一の運用基盤から実行されていることを示す。つまり企業にとって、「外部からの攻撃」と「採用応募」と「業務委託先」は、防御上は連続した一つの攻撃面として扱う必要がある。警察庁は発注・委託側に対し、再委託先に北朝鮮IT労働者が関与する可能性を前提とした契約条項の整備と、外注先へ渡す情報・権限の最小化を求めている。北朝鮮の者と知って報酬を支払ったり身分証を提供したりした場合、国内法令や対北朝鮮制裁の違反に問われるおそれがある点も明記された。なお本注意喚起の作成には、NTTセキュリティ・ジャパンとbitFlyerが協力者として謝辞に記載されている。未遂事例を当局と共有し、実名での公表を受け入れた判断そのものが、業界防御への貢献といえる。

【事業開発に関するインサイト】

1. 採用プロセスは、今やセキュリティ境界の最前線である。顧客に対してはKYCという厳格な身元確認を課す一方、従業員候補に対しては履歴書の自己申告をほぼ無検証で受け入れているのが多くの企業の実態であり、この非対称が突かれている。金融機関およびWeb3事業者は、応募フォームのアクセス元IPと申告居住地の整合性確認、連絡先電話番号の実在確認、記載スキルへの具体的な深掘り質問、出身地や気候といった個人的な話題による確認を、セキュリティ部門ではなく採用オペレーションの常設手順として組み込むべきである。遠隔勤務と暗号資産での報酬受取への固執、本人名義以外の口座への送金要求は、単独でも警戒に値するシグナルとされている。
2. リスクは自社の採用に閉じず、委託・再委託の連鎖全体に及ぶ。発注先の提携先や再委託先に北朝鮮IT労働者が関与していた場合、発注元にも被害が及びうることが実例として示されている。報酬トラブルを契機にソースコードがインターネット上に公開された事例、関与したWebサイトが後に改ざんされた事例が報告されており、これは技術的な侵害というより契約・調達ガバナンスの問題である。外注・再委託の禁止条項、提供する認証情報とアクセス権限の最小化、疑義を把握した時点でのアカウント即時無効化手順を、調達規程のレベルで整備しておく必要がある。開発の外部委託比率が高い企業ほど、この論点の優先度は高い。
3. 被害未遂を開示する企業が、防御インフラの一部になる。bitFlyerは攻撃対象として実名を公表されながら、注意喚起の謝辞に協力者として並んだ。攻撃手口の詳細が公開されたことで、国内の同業他社は同じシグナルを自社の採用プロセスに実装できる。日本の暗号資産・Web3事業者にとって、当局との情報共有チャネルをあらかじめ持っておくことは、コストではなく業界全体の防御力に直結する投資である。今回の公表がパブリック・アトリビューションという外交的枠組みで行われたことも踏まえ、民間からの情報提供が国家レベルの対応につながる経路が制度化されつつある点は、経営として認識しておく価値がある。

【引用：出典】

警察庁・国家サイバー統括室「北朝鮮サイバー攻撃グループ『WaterPlum』によるIT技術者を標的としたサイバー攻撃並びに北朝鮮IT労働者の我が国、米国及び欧州における活動実態等について」（2026年9月18日）https://www.npa.go.jp/bureau/cyber/pdf/20260918_j.pdf NADA NEWS「北朝鮮IT労働者、bitFlyerのエンジニア職に応募──警察庁がハッカー集団との関連を公表」（2026年9月18日）https://www.nadanews.com/368724/ INTERNET Watch「北朝鮮の攻撃グループがIT技術者に『技術力を確認したい』などと近づき暗号資産を窃取、警察庁・NCOが手口を解説」（2026年9月18日）https://internet.watch.impress.co.jp/docs/news/2142320.html CoinPost「日米豪独7機関、北朝鮮ハッカー『WaterPlum』が仮想通貨17億円窃取と公表」（2026年9月18日）https://coinpost.jp/?p=738590 JinaCoin「北朝鮮ハッカー『WaterPlum』が暗号資産ウォレット7千件窃取──警察庁が公表」（2026年9月19日）https://jinacoin.ne.jp/north-korea-waterplum-20260919/ NOVAIST「北朝鮮系『WaterPlum』、100超の国・地域で3万台超に感染 管理ウォレットに少なくとも17億円相当」（2026年9月18日）https://novaist.jp/articles/waterplum-north-korea-warning/ 警察庁「北朝鮮IT労働者に関する各国・企業等に対する注意喚起」（2026年7月31日）https://www.npa.go.jp/bureau/security/northkorea_IT/NK_IT_202607.html 警察庁「北朝鮮IT労働者に関する企業等に対する注意喚起」（2024年3月26日）https://www.npa.go.jp/bureau/security/northkorea_IT/NK_it.pdf